Am 17. Mai 2024 unterzeichnete der Gouverneur von Colorado, Jared Polis, den Colorado Artificial Intelligence Act („CAIA“) als Gesetz. Der CAIA ist ein bedeutender Meilenstein für die US-amerikanische KI-Regulierung, da es sich um das erste einzelstaatliche Gesetz handelt, das ein breites Spektrum an KI-Systemen abdeckt. Obwohl ein ähnlicher Gesetzentwurf in Connecticut nicht verabschiedet wurde, ist es wahrscheinlich, dass andere Bundesstaaten dem Beispiel Colorados folgen und den Einsatz von KI im großen Rahmen regulieren werden.

Wie schneidet der CAIA im Vergleich zum EU AI Act ab?

Der CAIA weist in dreierlei Hinsicht Ähnlichkeiten mit dem EU AI Act auf.

Erstens beziehen sich die meisten Anforderungen in beiden Gesetzen auf hochriskante KI-Systeme. Zweitens kann die Konformität mit beiden Gesetzen in erheblichem Maße durch die Einhaltung von Standards wie ISO/IEC 42001 – KI-Managementsysteme nachgewiesen werden. Drittens verlangen beide Gesetze Folgeabschätzungen (Impact Assessments) für hochriskante Systeme.

Zudem gibt es mindestens zwei wesentliche Unterschiede zwischen dem CAIA und dem EU AI Act.

Erstens sind die Anforderungen des EU AI Act weitreichender als die des CAIA. Der CAIA, der sich in erster Linie mit algorithmischer Diskriminierung befasst, nimmt mehrere gängige Arten von KI-Systemen von seiner Definition hochriskanter KI-Systeme aus. Zudem befreit er Anwender (Deployer) mit weniger als 50 Mitarbeitenden von vielen seiner Anforderungen, sofern sie bestimmte Kriterien erfüllen.

Zweitens werden die meisten seiner Bestimmungen weitaus früher in Kraft treten als der Großteil der Bestimmungen des EU AI Act. Unternehmen haben knapp 20 Monate Zeit, um die Vorgaben des CAIA zu erfüllen, da dieser am 1. Februar 2026 in Kraft tritt. Im Vergleich dazu werden die Anforderungen des EU AI Act für hochriskante Systeme erst Mitte 2026 in Kraft treten, 24 Monate nach seiner Veröffentlichung im Amtsblatt der EU.

Welche KI-Systeme fallen unter den CAIA?

Der CAIA gilt für Entwickler (Developer) oder Anwender (Deployer) von KI-Systemen, die in Colorado geschäftlich tätig sind. Als Entwickler gilt, wer ein KI-System entwickelt oder absichtlich und wesentlich modifiziert, während ein Anwender jemand ist, der ein hochriskantes KI-System einsetzt.

Gemäß dem CAIA gilt ein KI-System als hochriskant, wenn es beim Einsatz „eine folgenschwere Entscheidung trifft oder ein wesentlicher Faktor bei der Entscheidungsfindung ist“. Eine folgenschwere Entscheidung ist eine Entscheidung, die „eine wesentliche rechtliche oder ähnlich erhebliche Auswirkung auf die Bereitstellung oder Verweigerung gegenüber Verbrauchern oder auf die Kosten oder Bedingungen“ von Bildungszulassungen oder -chancen, Beschäftigung oder Beschäftigungsmöglichkeiten, Finanz- oder Kreditdienstleistungen, wesentlichen staatlichen Dienstleistungen, Gesundheitsdienstleistungen, Wohnraum, Versicherungen oder juristischen Dienstleistungen hat. Darüber hinaus sind einige Arten von KI-Systemen von der Kategorie der Hochrisiko-Systeme ausgenommen.

Wie wird der CAIA durchgesetzt?

‍Der Generalstaatsanwalt von Colorado besitzt die ausschließliche Befugnis zur Durchsetzung sowie zur Bereitstellung von Vorschriften und Leitlinien in diesem Zusammenhang. Der CAIA sieht kein privates Klagerecht vor. Leitet der Generalstaatsanwalt von Colorado eine Durchsetzungsmaßnahme ein, gilt für einen Anwender die „widerlegbare Vermutung“, dass er angemessene Sorgfalt walten ließ, um Verbraucher vor algorithmischer Diskriminierung zu schützen, wenn er über eine Risikomanagement-Richtlinie und ein Programm verfügt, das am NIST AI Risk Management Framework („AI RMF“) oder ISO/IEC 42001 ausgerichtet ist. Darüber hinaus steht einem Unternehmen im Rahmen einer Durchsetzungsmaßnahme eine „wirksame Einrede“ (Affirmative Defense) zu, wenn es einen Verstoß gegen den CAIA aufgrund von Feedback, gegnerischen Tests oder Red Teaming (gemäß den Definitionen von NIST) oder einem internen Überprüfungsprozess entdeckt und behebt und „andernfalls in Übereinstimmung mit“ dem NIST AI RMF und ISO/IEC 42001 handelt.

Für weitere Informationen zur Entwicklung einer Risikomanagement-Richtlinie und eines entsprechenden Programms können Sie unseren kostenlosen und umfassenden Leitfaden zur Erstellung einer KI-Richtlinie hier anfordern.

‍

‍

Welche Anforderungen stellt der CAIA an Entwickler und Anwender von hochriskanten KI-Systemen?

Der CAIA verpflichtet Entwickler und Anwender, „angemessene Sorgfalt“ anzuwenden, um Personen vor bekannten oder vorhersehbaren Risiken algorithmischer Diskriminierung zu schützen, und ihre Nutzung hochriskanter KI auf ihren Websites zu beschreiben.

Entwickler sind verpflichtet, den Generalstaatsanwalt von Colorado sowie bekannte Anwender unverzüglich und innerhalb von 90 Tagen über alle bekannten oder vernünftigerweise vorhersehbaren Risiken algorithmischer Diskriminierung zu informieren. Anwender wiederum müssen den Generalstaatsanwalt von Colorado unverzüglich und innerhalb von 90 Tagen benachrichtigen, sobald sie erfahren, dass ein System zu einer algorithmischen Diskriminierung geführt hat.

Entwickler sind verpflichtet, „eine allgemeine Erklärung abzugeben, die vernünftigerweise vorhersehbare Verwendungszwecke sowie bekannte schädliche oder unangemessene Verwendungszwecke des Systems beschreibt“, zusammen mit den entsprechenden Dokumentationen.

Anwender sind verpflichtet, jährlich sowie innerhalb von 90 Tagen nach jeder „absichtlichen und wesentlichen Modifikation“ des KI-Systems Folgeabschätzungen für hochriskante KI-Systeme durchzuführen.

‍

‍

Anwender müssen eine Risikomanagement-Richtlinie und ein entsprechendes Programm einführen, Personen vor dem Einsatz eines KI-Systems für folgenschwere Entscheidungen benachrichtigen, diesen Personen erklären, wie nachteilige folgenschwere Entscheidungen getroffen wurden, die Möglichkeit bieten, unrichtige personenbezogene Daten im Zusammenhang mit solchen Entscheidungen zu korrigieren, und Möglichkeiten zur Anfechtung solcher Entscheidungen bereitstellen.

Alle KI-Systeme müssen gekennzeichnet werden

Während sich die meisten Anforderungen des CAIA auf hochriskante KI-Systeme beziehen, gilt die Kennzeichnungspflicht für alle KI-Systeme, die für die Interaktion mit Personen bestimmt sind. Bei solchen Systemen muss ein Entwickler oder Anwender einer Person gegenüber offenlegen, dass diese mit einem KI-System interagiert, es sei denn, dies ist für eine vernünftige Person „offensichtlich“.

Enzai ist hier, um zu helfen

Das Produkt von Enzai kann Ihr Unternehmen dabei unterstützen, die Anforderungen von Colorado, das NIST AI RMF, ISO/IEC 42001, den EU AI Act sowie andere globale Regulierungs- und Absicherungsrahmen einzuhalten. Um mehr zu erfahren, setzen Sie sich hier mit uns in Verbindung.

Enzai ist die führende Plattform für Enterprise-KI-Governance, die speziell dafür entwickelt wurde, Unternehmen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere Plattform für KI-Risikomanagement bietet die spezialisierte Infrastruktur, die für die Verwaltung von agentischer KI-Governance, die Führung eines umfassenden KI-Inventars und die Gewährleistung der Konformität mit dem EU AI Act erforderlich ist. Durch die Automatisierung komplexer Arbeitsabläufe versetzt Enzai Unternehmen in die Lage, die Einführung von KI vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST zu wahren.